泓域/消费电子电路板公司内部控制分析消费电子电路板公司内部控制分析xx集团有限公司目录一、 德日公司治理模式的评价 3二、 德日公司治理模式的主要内容 4三、 英美市场主导型治理模式评价 8四、 英美模式的产生 10五、 风险应对策略的选择 11六、 风险应对策略 13七、 风险分析的定义和目的 22八、 风险图谱 23九、 评价控制缺陷与报告 25十、 审计工作计划与实施 29十一、 内部监督的内容 33十二、 内部监督比较 40十三、 内部控制评价工作底稿与报告 41十四、 内部控制缺陷的认定 42十五、 项目基本情况 44十六、 公司基本情况 46十七、 项目风险分析 48十八、 项目风险对策 51十九、 组织机构及人力资源配置 53劳动定员一览表 53一、 德日公司治理模式的评价（一）德日治理模式的优势1、产权结构能有效监控公司的生产经营活动德国、日本公司的产权结构是以银行等金融机构持股的形式为主，因此，商业银行对公司不仅具有行使监控力的动力，同时也具有行使监控力的能力它们具有丰富的专业知识和管理经验，能够及时、有效地对公司经营活动进行监督，从而保证企业正常高效地运行银行作为公司的主要债权人，为了保证自身债权的安全性，必然会及时全面获取和掌握公司有关经营活动的信息，并且进行全方位的有效监督。
2、公司发展的长期稳定性作为公司大股东的银行，其投资主要目的不是股息，而是长期稳定投资所带来的收益，因此银行会与公司保持长期稳定的关系，这有利于公司股价的稳定及公司战略计划与长远目标的制订与实行企业法人交叉持股，有利于稳定业务合作关系，降低交易费用，提高交易效率二）德日治理模式的弊端1、缺乏外部资本市场的压力，公司的监督制度形同虚设由于德日治理模式下股权结构多是以法人持股为特征，而法人持股的目的不在于资本市场的有效竞争而是在于加强企业间的业务联系这使得原本极具竞争动力的资本市场，难以真正发挥其监督制约的作用，由此极易形成绝对的“内部人控制”而不利于企业的发展2、经营者创新意识不强，企业缺乏发展动力由于公司之间相互持股，形成了相当稳定的股东组织结构，经理人市场的竞争压力并不明显所以，企业创新和发展动力不足，从而不利于企业的长远发展3、股东的特殊性易生成泡沫经济银行与企业结成利益共同体，高度依存，一旦银行对企业约束太少，易导致企业投资盲目扩张，加之直接融资方式的便利使公司负债率过高，容易导致泡沫经济的出现，对国家经济发展不利二、 德日公司治理模式的主要内容（一）相对集中的法人股东股权结构与英美模式下企业主要依靠向众多个人投资者发行股份筹集公司资本的传统不同，在德国、日本等大陆法系国家，公司资本在很大程度上是通过银行和保险公司等金融机构筹集的，形成了以相对集中的法人股东持股为主的所有制结构。
相互持股的现象往往发生在一个企业集团内部的各个企业之间，这种持股模式能够加强关联企业之间的联系，并且有利于防止企业被吞并且由于德日公司有交易关系的公司之间交叉持股极为普遍，股东持股也较为稳定与英美模式的博取股息红利和资本利得等投资收益不同，德日公司中法人股东持有股份的主要目的是为了和该企业长期维持多方面的交易关系，以企业长期成长为核心二）股权控制弱化，经营管理者拥有极大的经营决策权在股权结构的分布上，由于个人股东的持股比率很低，因此个人股东对公司的影响很小企业的大股东一般都是企业法人，正是由于企业法人之间相互持股从而形成了相互控制的局面，所以在企业正常运行的情况下，大股东是很少直接干预企业的经营活动的由于法人股东之间的互不干涉，经营者因此也获得了相当大的控制权《日本商法》中关于制衡公司股东会、董事会、监事会并以此来保障股权控制的制度并没有发挥应有的作用在日本，股东大会仅是个简单的仪式，并没有发挥作为公司最高权力机关的作用据相关统计，75%的股东大会开会时间不会超过三十分钟股东从不对大会的讨论内容进行提问，经营者也只是对公司的相关经营问题进行简单的陈述，并未涉及实质内容而在行使投票权的过程中，有近半数的股东的选票是空白的，这就说明他们在投票之前，就以默示的方式同意了股东大会所讨论的问题了”。
按照公司治理的要求，董事会是广大股东所选择的作为代表股东对企业进行经营决策的机关，它理应对企业的高级管理人员进行监督，从而维护股东的权益但现实情况是，在日本公司之中，公司中的董事会成员几乎都是由“内聘董事”组成，尴尬的是，这些董事又都是总经理的部下，他们在业务上服从于总经理，并且在人事方面亦受到总经理的控制在受“长幼有序”的文化观念深刻影响下的日本，总经理作为董事的上级但要受到作为下级的董事的监督，这简直是天方夜谭而独立监察机构虽然是与董事会平级的机构，但它的组织成员绝大多数在公司地位比总经理低得多，他们同样也是公司总经理的部下，因此监事会的功能是不可能真正发挥作用的由此可见，股东会、董事会、监事会分权制衡的治理机制并未真正在日本公司之中发挥出实质作用三）严密的监督机制在此模式下对企业经营者的内部监督主要来自3个方面1、主银行的监督主银行，即某企业接受贷款中居第一位的银行，是公司的主要贷款方，同时也是公司的大股东当企业的经营状况良好时，主银行只是“贷款者”角色，不会轻易地干预企业的经营管理：当企业经营状况恶化时，主银行便会行使其股东权力介入公司的管理中它会根据具体情况对公司内部事务进行干预，实施包括债务展期、减免利息、注入资金等金融援助在内的一系列措施。
在状况进一步恶化的情形下，甚至会对公司进行接管2、企业集团内部监督由于企业法人因集团公司持股而存在，企业集团彼此之间持股比例很高，一般会通过其特有的方式来加强对企业的监督，如向持股公司派遣人员来加强管理、通过关联交易以及设置经理会等方式发挥对公司的监督作用且在德日公司治理结构中，公司的业务执行职能和监督职能相分离，形成了执行董事会（董事会）和监督董事会（监事会）两种管理机构，亦称双层董事会在德国监事会独立发挥对公司决策执行情况的监督，在日本，作为第二董事会的经理会是企业集团内部的核心，是企业在相互持股和融资基础上所形成的一种非正式监督组织，主要是用于情报交流、信息沟通和意见的协调虽然经理会并未设置相应的投票表决机制，各个参与者之间也不存在上下级的领导关系，但各企业的管理者都会感受到来自委员会内部的压力，并在这种“多数对一的支配结构”下同意多数人提出的意见3、公司成员的监督由于受到日本传统文化中家庭观念、强调决策一致的集体主义思想以及独有的终身雇佣制度和年幼序列制的人事制度的影响，成员对企业有着强烈的认同和归属感，把自己的利益和企业联系在一起，从而形成了从业人员对集团的主导控制日本公司的从业人员可以对公司在发展过程中基本问题享有发表建议的权利，并且能够很好地被采纳。
在工人运动极为活跃的德国，职工参与决定制度也是其独特的监督机制由于在德国历史上，早期社会主义者就提出职工民主管理的有关内容第二次世界大战以后，随着资本所有权和经营权的分离，德国职工参与意识进一步兴起，公司法规定监事会成员中必须有职工成员三、 英美市场主导型治理模式评价（一）英美治理模式的优势1、实现了资本市场的优化配置公司股东通过市场机制来监督公司的经营和实现利益最大化，资本流动性强这样不仅可以优化资源配置，促使资源向优势企业流动，实现资本市场的优胜劣汰；还可以为投资者提供准确可靠的信息，减少投资风险，保护投资者的利益2、促进创新精神，提高创新能力股东通过在证券市场上的操作，既可以监督、约束经理层，又能减少对经营者的干预，这有利于鼓励经营者大胆创新，充分发挥其聪明才智以及创造力美国高新技术企业的迅速发展和产业结构的升级，在很大程度上归因于这种创新精神3、提升了企业的竞争力英美模式下的公司股权结构和治理机构的设置，有利于企业依靠兼并机制迅速地扩大规模，并依靠规模经济的优势来增强企业的竞争力二）英美治理模式的弊端1、股权结构上高度分散的特点极有可能造成经营者的短期投机行为股东持股短期化，而公司管理层迫于股票市场的压力，为了满足短期投资者的套现、分红，公司经营者会采取短期行为来获取利润，以满足股东较短时间内获得回报和收益最大化的需求，从而导致在制定公司经营目标及进行诸如投资、融资、营销、研究与开发等重大问题的决策时，着重考虑短期效益，从而忽视保持企业长期绩效所必需的基础投资。
2、公司内部监督机制不力，对公司经理层的制约太小，易出现“内部人控制”的问题英美模式治理下的公司股权高度分散，使了解公司内部信息及监督经理层缺少充足的动力，“搭便车”的观念导致企业被少数经营管理者所控制，从而损害到公司和股东的利益公司管理层在缺乏制度的有力约束与监督的情况下，很容易出现企业管理层滥用手中的权力，甚至蒙骗投资者的行为，给公司和股东带来巨大的利益损害，直接把公司引入破产的绝境3、公司股权的高度流动性使英美公司资本结构的稳定性差由于股东以追求投资收益率最大化为目标，企业经营一旦出现波动，股份就被不断转手，这不仅使公司的长期发展没有稳定的资本结构的保障，而且很容易造成企业兼并接管的动荡公司的正常运作需要以稳定的资本结构为基础，恶意接管给公司带来的动荡，不利于所有者和经营者长期的信任和合作关系的形成4、公司并购不利于经理人员积极性的发挥公司收购在20世纪60年代曾被认为是监控经营者的有力方式，有些公司在被收购接管后确实提高了绩效，但也逐渐出现了相反的情况特别是到80年代中后期，公司收购逐渐有作为掠夺财产的一种方式的趋向，收购者通过分拆、重组继而包装再出售获取暴利，不稳定的公司经营特点“迫使”公司经营管理者决策从事短期破坏性行为。
四、 英美模式的产生在英美国家由于较早受产业革命影响，科学技术发展导致经济规模的迅速扩大，将充足的劳动力和资本集中在一起形成一个富有成效的实体显得尤为重要在这种背景下，股份公司成为最适当的形式在股份公司发展的初期，所有权与经营权的分离是不可避免的尤其随着经济的发展，公司经营规模、范围的扩大，专业化经理人的出现，更加快了所有者和经营者的分离速度公司所有者追求公司利益的最大化，而经营者可能为了满足自身利益的最大化，滥用权力损害公司的利益，进而损害公司所有者的利益所有者与经营者的这种利益冲突可以说是公司治理形成的内在因素，也是各种公司治理模式共同的产生原因产业革命又促进了专业化管理与风险分散相结合的现代化股份制的推行，股份高度分散的公众上市公司成为这些国家经济领域中最主要的组织形式在美国，最大的400家公司99%都在股票交易所上市交易；在英国，100家最大的公司大部分也都是上市公司而在欧洲大陆国家，股票上市公司比例平均只有54%在主要依靠股份融资快速扩大规模的企业扩张方式根深蒂固的影响下，这些国家逐渐形成了股份高度分散化、股票高度流动性、金融市场十分发达的公司制度，在此基础上形成了被称为市场导向型公司治理模式的以经理人控制为特征的控制权结构。
由于普通法系国家奉行股东主权至上，公司以股东利益最大化为目标，而且其融资方式以股份融资为主，借贷融资比重较低，因而其公司治理一般不考虑利益相关人的作用，因此又属于利益相关人排斥型公司治理五、 风险应对策略的选择风险应对的4种策略是根据企业的风险偏好和风险承受度制定的，风险规避策略在采用其他任何风险应对措施都不能将风险降低到企业风险承受度以内的情况下适用；风险降低和风险分担策略则是通过相关措施，使企业的剩余风险与企业的风险承受度相一致；风险承受则意味着风险在企业可承受范围之内企业应该结合具体情况及时调整风险应对策略企业可选择的风险应对策略有风险规避、风险降低、风险分担和风险承受，管理层可以选择一个或多个策略结合使用《企业内部控制基本规范》第二十七条规定：企业应当结合不同发展阶段和业务拓展情况，持续收集与风险变化相关的信息，进行风险识别和风险分析，及时调整风险应对策略企业对超出整体风险承受能力或者具体业务层次上的达到不可接受风险水平的风险，应实行风险回避；在整体风险承受能力和具体业务层次上的可接受风险水平之内的风险，在权衡成本效益之后无意采取进一步控制措施的，可实行风险承担；对在整体风险承受能力和具体业务层次上的可接受风险水平之内的风险，在权衡成本效益之后如愿单独采取进一步的控制措施以降低风险、提高收益或者减轻损失的，可以实行风险降低；对在整体风险承受能力和具体业务层次上的可接受风险水平之内的风险，在权衡成本效益之后愿意借助他人力量，采取进一步的控制措施以降低风险，提高收益或者减轻损失的可以实行风险分担。
风险应对策略与企业的具体业务或者事项相联系，不同的业务或事项可以采取不同的风险应对策略，同一业务或事项在不同的时期可以采取不同的风险应对策略，同一业务或事项在同一时期也可以综合运用风险降低和风险分担应对策略六、 风险应对策略风险应对的策略有风险规避、风险降低、风险分担和风险承受4类一）风险规避风险规避是指企业对超出风险承受度的风险，通过放弃或者停止与该风险相关的业务活动以避免和减轻损失的策略风险规避是各种风险管理技术中最简单、最为消极的一种例如，一个经销家庭日用品的企业在其经销的产品有导致小儿麻痹症的情况出现时，决定终止这种经销活动，以免引致产品责任索赔案企业通过中断风险源，将避免可能产生的潜在损失或不确定性，但企业同时失去了从风险源中获得收益的可能性企业在采用规避方法来处理风险时必须考虑以下几个方面的因素第一，风险要想真正避免也许不可能对企业而言，有些基本风险如世界性的经济危机、能源危机等难以避免第二，风险得以避免在经济上也许不适当对某些风险即使可以避免，但就经济效益而言也许不合适在成本和效益的比较分析下，如果企业避免风险所花费的成本高于避免风险所产生的经济效益时，仍然采取避免风险的方法，经济上可谓不适当。
第三，风险规避使企业失去了从中获益的可能性第四，避免了某一风险可能产生另外新的风险，新风险产生的可能性和危害程度可能更甚于先前的风险1、风险规避的适用范围当企业面临下列两种情况时最适合采用风险规避策略：某种特定风险导致的发生概率和产生损失程度相当大；应用其他风险处理技术的成本超过其产生的收益，采取风险规避法可以使企业所受损失为零2、风险规避的方式（1）完全放弃，是指企业拒绝承担这种风险，根本不从事可能产生某些特定风险的活动2）中途放弃，是指企业在项目进行的过程中终止承担某种风险例如，公司研发一种新产品，在市场上试销后发现市场前景惨淡，于是中途停止这种产品的生产与上市，防止产生更大的新产品的开发风险这种风险规避通常与环境的较大变化和风险因素的变动有关由于发生了新的不利情况，经权衡后，认为得不偿失，故而放弃3）改变条件，是指改变生产活动的性质，改变生产流程或是工作方法等其中，生产性质的改变属于根本的变化简单的风险规避是一种最消极的风险处理办法，因为投资主体在放弃风险行为的同时，往往也放弃了潜在的目标收益所以一般只有在以下情况才会采用这种方法：投资主体对风险极端厌恶；存在可实现同样目标的其他方案，其风险更低；投资主体无能力消除或转移风险；投资主体无能力承担该风险或承担风险得不到足够的补偿。
二）风险降低风险降低是企业在权衡成本效益后，准备采取适当的控制措施降低风险或者减轻损失，将风险控制在风险承受度之内的策略风险降低的目的是要降低风险发生的概率，或者减少风险造成的损失，或者两者兼而有之风险降低可以积极改善风险的特性，使其能为企业所接受，而又使企业不丧失获利的机会风险降低的方法一般与控制措施相衔接，包括不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制、绩效考评控制和合同控制等降低风险主要通过两种途径实现：风险预防和减少风险其中，风险预防即采取各种措施防止风险事件的发生，做到事先防范，也就是消除或减少风险因素，以便降低损失发生的概率企业实行风险降低策略应符合成本效益原则预防风险涉及一个现时成本与潜在损失比较的问题：若潜在损失远大于采取预防措施所支出的成本，就应采用预防风险手段以兴修堤坝为例，虽然施工成本很高，但与洪水泛滥造成的巨大灾害相比，就显得微不足道此外，还应考虑到一旦预防措施不成功，风险发生后应采取补救措施以减少损失，从而使风险损失最小化人们从事的许多活动都面临着风险，对于那些厌恶风险者来说如何应付所面临的风险呢？有两种常用的办法可以降低可能发生的风险，这两种方法是多样化和获取更多的信息。
1、多样化多样化是指在从事的活动将要面临风险的情况下，人们可以采取多样化的活动，以便降低风险例如，投资者可以以多种形式持有资产，以免持有单一化的资产发生风险；商品推销人员为了保证销售收入，可以同时推销多种商品，以免在只推销一种商品的情况下，一旦产品推销不出，发生一点收入也得不到的风险2、获取更多的信息在不确定的情况下，消费者的决策是建立在有限信息基础之上的如果消费者可以获得更多的信息，将会降低决策的风险然而获得的信息不是没有代价的例如，要想通过销售活动获得尽可能多的利润，商品销售人员必须进行市场调查与研究，以便获得较多的商品需求信息，减少决策的风险；要进行市场调查研究，就必须花费一定的费用如果不亲自进行市场调查，而向他人购买信息，也可以减少决策的风险这说明信息是有价值的三）风险分担风险分担是指企业准备借助他人的力量，采取业务分包、购买保险等方式和适当的控制措施，将风险控制在风险承受度之内的策略风险分担是一种事前的风险管理措施，即在风险发生之前，通过各种交易活动，把可能发生的风险转移给其他人承担，避免承担全部风险损失其主要措施包括业务分包、保险、出售、开脱责任合同以及合同中的转移责任条款。
风险分担的方式主要可以分为财务型非保险转移、控制型非保险转移和保险转移1、财务型非保险转移财务型非保险转移是指受补偿的人将风险所导致损失的财务负担转移给补偿的人（其中保险人除外）的一种风险管理技术财务型非保险转移的实施方式主要有以下四种1）中和中和是将损失机会与获利机会平衡的一种方法，通常被用于处理投机风险担心原材料价格变化的制造商所进行的套购，以及受外汇汇率变动影响的出口商进行的期货买卖都属于中和方法所谓套购，就是通过买卖双方交易的相互约定，使可能的价格涨落损益彼此抵消通常，商业机构、生产商、加工商和投资者利用期货价格和现货价格波动方向上的趋同性，通过在期货市场上买进或卖出与现货市场上方向相反但数量相同的商品，而把自身承受的价格风险转移给投机者，以达到现货与期货盈亏互补的目的2）免责约定免责约定是指合同的一方通过合同条款，对合同中发生的对他人人身伤害和财产损失的责任转移给另一方承担，即通过主要针对其他事项的合同中的条款来实现风险转移需要指出的是，免责约定不同于责任保险免责约定所转移的风险其受让人而不是保险人，而且所提到的财产损失责任是以合同责任下的损失为限的3）保证合同保证合同是指由保证人对被保证人因其行为不忠实或不履行某种明确的义务而导致权利人损失予以赔偿的一种书面合同。
这里有保证人、被保证人和权利人三方当事人，借助保证书，权利人可将被保证人违约的风险转移给保证人保证的目的在于担保被保证人对权利人的忠实和有关义务的履行，否则由保证人赔偿损失保证书通常用于以下“明确的义务”：清偿债务，在规定的期限内提供一定数量的产品，按要求的日期完成一项工程等如果被保证人没有履行义务，保证人必须自己履行这项义务，或者按保证书的规定支付一定的罚金然后，保证人可以向被保证人追偿其损失有时，保证人在签发保证书时，要求被保证人用现金或政府债券等作为担保物，以备自己索赔即使被保证人得不到任何保障，他们也要签署这种保证书需要指出，保证书不同于保险合同（尤指财产保险合同），其差别如下①保证书的当事人有三方，即保证人、被保证人和权利人，而保险合同一般只有两方，即保险人和投保人（被保险人）②保证书中，被保证人通常得到担保并付出担保费，而权利人得到保障（不过，有时被保证人可通过成本包括在所提供的服务的价格里，而将这种成本转移给权利人），而被保险人则通常是购买保险来保障自己③保证书中的损失有可能是由被保证人故意引起的，而保险损失对被保险人而言则必须是意外的④理想状况下，保证书中的担保不会有损失。
因为如果有任何损失的可能性，保证人就不会签署这种保证书，况且保证人自己会在调查中发现潜在的损失而保险人则清楚地知道在被保险的群体中间会有一些损失—一期望损失值理想状况下，保证书的担保费不应该包括任何期望损失作为备抵，所以这种担保费只需包括保证人的调查费和其他费用，并提供一定的利润和一定的意外准备金而保险费则必须补偿期望损失在实践中，保证人也会发生一些损失，因为他们的调查并不完全准确，但这样的损失在担保费中所占的比例远低于在保险费中所占的比例⑤如果损失确实发生，保证人可以向被保证人求得补偿，但保险人对于被保险人则没有这种权利尽管如此，有些保证书与保险合同极为相似，例如诚实保证实践中，许多保证书的保证人是保险（4）公司化有的企业通过发行公司股票，将企业经营的风险转移给多数股东承担这种转移实际上只是分散了原有股东的风险，增强了企业抵抗风险的能力，并不能转移企业遇到的具体风险2、控制型非保险风险转移控制型非保险风险转移是指借助减低风险单位的损失频率和缩小其损失幅度的手段将损失的法律责任转移给非保险业的另一经济单位的管理技术控制型非保险风险转移的具体形式有以下3种1）出售或租赁通过买、卖契约将风险单位转移给他人或其他单位。
这一方式的特点是将财产所有权和与之有关的风险同时转移给受让人如一批货物，从工厂主转移给买主后，与这批货物有关的风险（可能遭受火灾、盗窃、市场价格暴跌等）也一同转移给买主了2）分包转让人通过分包合同，将他认为风险较大的工程转移给非保险业的其他人显然，风险单位通过风险转移，其承担的风险将会减少例如，对于一般的建筑施工队来说，高空作业风险较大，因此，他们可将风险大的高空作业转移给专业的高空作业工程队对这种专业工程队来说，他们无论在经验、设备、技术等各方面都较强，故相对来说，风险较小3）开脱责任合同通过这种合同，风险承受者免除转移者对承受者承受损失的责任如外科医生在给病人动手术之前，往往要求病人（或家属）签字同意，若手术不成功，医生不负责任在这份契约中，风险承受者（病人）免除了转移者（医生）对承受者（病人）承受损失的法律责任，在这种形式中，通过开脱责任合同，风险本身被消除了控制型风险转移与风险回避所不同的是，风险回避是放弃或中止存在的风险单位，而此风险转移技术容许风险单位继续存在，然而将损失的法律责任转移给自己以外的第三者（保险业除外）控制型风险转移与损失控制不同的是，损失控制直接对风险所致的损失频率和幅度加以改善，而此风险转移技术将风险转移给别人而间接达成减低损失频率和减小损失幅度的目的。
3、保险转移保险是指投保人根据合同约定，向保险人支付保险费，保险人对于合同约定的可能发生的事故因其发生所造成的财产损失承担赔偿保险金责任，或者当被保险人死亡、伤残、疾病或者达到合同约定的年龄、期限时承担给付保险金责任的商业保险行为采用保险方式，一方面，风险转移到保险公司之前，投保人必须履行其义务，有责任缴纳保险金另一方面，当损失出现时，保险公司将会代替投保人承受因风险变化所带来的损失四）风险承受风险承受是指企业对风险承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险或者减轻损失的策略风险承受的前提是自留风险可能导致的损失比转移风险所需要的费用小风险承受是最省事的风险规避方法，在许多情况下也是最省钱的但企业也应考虑到，若仅从降低成本、节省费用出发，将风险承受作为一种主动积极的方式应用时，可能会由于风险意外扩大，而使企业面临严重的损失后果七、 风险分析的定义和目的我国《企业内部控制基本规范》第二十四条规定：企业应当采用定性定量相结合的方法，按照风险发生的可能性及影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险企业进行风险分析应当充分吸收专业人员，组成风险分析团队，按照严格规范的程序开展工作，确保风险分析结果的准确性。
风险分析是在风险识别的基础上对风险发生的可能性、影响程度等进行描述、分析、判断，并确定风险重要性水平的过程管理层根据被识别的风险的重要性来计划如何应对风险风险分析应达到以下目的：（1）对各个风险进行比较，根据分析风险的不确定性和后果，确定风险的先后顺序；（2）确定风险事件之间的关系，表面上看起来不相干的多个风险事件可能是由一个共同的风险源所造成的，因此应当理顺风险事件之间的关系；（3）进一步量化已识别风险的发生概率和后果，减少风险发生概率和后果估计的不确定性，必要时根据形势的变化重新评估风险发生的概率和可能的后果八、 风险图谱风险图谱是风险分析的重要工具，通过分析公司的风险图谱，可以直观地看到公司的风险分布情况，从而确定风险管理的重要控制点和风险管理解决方案风险图谱从风险发生的可能性和影响程度两方面对风险进行评级，风险评级要从固有风险、目标剩余风险和实际剩余风险三个层级进行风险图谱被两条“等风险线”分隔为“红灯区”“黄灯区”和“绿灯区”（1）“红灯区”的风险大多集中在第一象限，其发生的概率和影响程度均较高公司应该根据风险的属性和风险偏好来选择风险管理方案；（2）“黄灯区”的风险，有两种情况：①处于第二象限的风险更多的是一些非常事件，但影响程度较大。
对于这类风险，公司应该在采取防范措施的同时，制订应急计划；②处于第四象限的风险，其影响程度不是很高而发生概率偏高，这往往与日常经营和遵守法律方面的问题有关，这些风险的累计影响不可低估对于这类风险要注意日常的管理和监控3）“绿灯区”的风险大多集中在第三象限，是指那些发生概率和影响程度均不太高的风险，通常在目前可以接受公司可以取消与此风险相关的、多余的风险控制措施，从而减少成本和资源消耗以便管理更重要的风险风险图谱不是一成不变的，公司应该定期评估风险，动态地对风险图谱进行调整和更新九、 评价控制缺陷与报告（一）评价控制缺陷注册会计师需要评价其注意到的各项控制缺陷的严重程度，以确定这些缺陷单独或组合起来，是否构成重大缺陷但是，在计划和实施审计工作时，不要求注册会计师寻找单独或组合起来不构成重大缺陷的控制缺陷企业内部控制可能存在重大缺陷情形有：（1）注册会计师发现董事、监事和高级管理人员舞弊；（2）企业更正已经公布的财务报表；（3）注册会计师发现当期财务报表存在重大错报，而内部控制在运行过程中未能发现该错报；（4）企业审计委员会和内部审计机构对内部控制的监督无效财务报告内部控制缺陷的严重程度取决于：控制缺陷导致账户余额或列报错报的可能性；因一个或多个控制缺陷的组合导致潜在错报的金额大小。
控制缺陷的严重程度与账户余额或列报是否发生错报无必然对应关系，而取决于控制缺陷是否可能导致错报评价控制缺陷时，注册会计师需要根据财务报表审计中确定的重要性水平，支持对财务报告控制缺陷重要性的评价注册会计师需要运用职业判断，考虑并衡量定量和定性因素，同时要对整个思考判断过程进行记录，尤其是详细记录关键判断和得出结论的理由而且，对于“可能性”和“重大错报”的判断，在评价控制缺陷严重性的记录中，注册会计师需要给予明确的考量和陈述二）内部控制缺陷的报告1、对内报告内部控制缺陷报告应当采取书面形式对于一般缺陷和重要缺陷，通常向企业经理层报告，并视情况考虑是否需要向董事会及其审计委员会、监事会报告；对于重大缺陷，应当及时向董事会及其审计委员会、监事会和经理层报告如果出现不适合向经理层报告的情形，如存在与经理层舞弊相关的内部控制缺陷，或存在经理层凌驾于内部控制之上的情形等，应当直接向董事会及其审计委员会、监事会报告企业应根据内部控制缺陷的影响程度合理确定内部控制缺陷报告的时限，一般缺陷、重要缺陷应定期报告，重大缺陷即时报告2、对外报告我国《企业内部控制审计指引》第四条规定：注册会计师应当对财务报告内部控制的有效性发表审计意见，并对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷，在内部控制审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露。
内部控制信息披露服务于投资者的权益保护以及投资者对企业投资回报的预期财务报告之所以是投资决策的重要依据，原因在于它有助于投资者评估企业未来产生现金流量的金额、时间和不确定性从而服务于投资决策但是，依据财务数据对企业前景的预期能否成为现实、差异的波动方向取决于对未来不确定因素的管控内部控制的有效性以及缺陷的严重程度决定着它管控未来风险的能力以及预期变为现实的可靠程度对外披露内控缺陷信息是企业必须承担的义务但是，无论从法律赋予管理层的义务层面讲，还是受托者对委托者承担的道义责任层面讲，并不是所有的内部控制缺陷都必须对外披露对外披露的缺陷应该是对投资者制定投资决策、修正以往投资决策产生影响的缺陷信息缺陷的披露实际上起风险提示的作用，只有较大可能偏离目标且危害程度较严重的缺陷才有必要对外披露3、注册会计师内部控制审计意见类型企业内部控制审计意见包括无保留意见、否定意见和无法表示意见三种类型具体又可分为无保留意见、带强调段的无保留意见、否定意见和无法表示意见四种类型1）无保留审计意见发表无保留审计意见必须同时符合两个条件：①企业按照内部控制有关法律法规以及企业内部控制制度要求，在所有重大方面建立并实施有效的内部控制；②注册会计师按照有关内部控制审计准则的要求计划和实施审计工作，在审计过程未受到限制。
2）带强调段的无保留意见注册会计师认为财务报告内部控制虽不存在重大缺陷，但仍有一项或者多项重大事项需要提请审计报告使用者注意的，应在审计报告中增加强调事项段予以说明该段内容仅用于提醒内部控制审计报告使用者关注，并不影响对财务报告内部控制发表的审计意见3）否定意见注册会计师认为财务报告内部控制存在一项或多项重大缺陷的，除非审计范围受到限制，否则应对财务报告内部控制发表否定意见注册会计师出具否定意见的内部控制审计报告中需包括重大缺陷的定义、重大缺陷的性质及其对财务报告内部控制的影响程度等内容4）无法表示意见注册会计师审计范围受到限制的，应当解除业务约定或出具无法表示意见的内部控制审计报告，在报告中指明审计范围受到限制，无法对内部控制有效性发表意见注册会计师在已执行的有效程序中发现内部控制存在重大缺陷的，应当在“无法表示意见”的审计报告中对已发现的重大缺陷做出详细说明十、 审计工作计划与实施（一）审计工作计划《企业内部审计指引》第六条的规定：注册会计师应该恰当地计划内部控制审计工作，配备具有专业胜任能力的项目组，并对助理人员进行适当的督导《企业内部审计指引》第七条的规定：在计划审计工作时，注册会计师应当评价下列事项对内部控制、财务报表以及审计工作的影响：与企业相关的风险；相关法律法规和行业概况；企业组织结构和经营特点、资本结构等相关事项；企业内部控制最近发生变化的程度：与企业沟通过的内部控制缺陷；重要性、风险等与确定内部控制重大缺陷相关的因素对内部控制有效性的初步判断；可获取的、与内部控制有效性相关的证据的类型和范围。
注册会计师应当以风险评估为基础，选择拟测试的控制，确定测试所需收集的证据内部控制的特定领域存在重大缺陷的风险越高，给予该领域的审计关注就越多注册会计师应当对企业内部控制自我评价工作进行评估，判断是否利用内部审计人员、内部控制评价人员和其他相关人员的工作以及可利用的程度，相应减少本应由注册会计师执行的工作注册会计师利用企业内部审计人员、内部控制评价人员和其他相关人员的工作，应当对其专业胜任能力和客观性进行充分评价注册会计师应当对发表的审计意见独立承担责任，其责任不因为利用企业内部审计人员、内部控制评价人员和其他相关人员的工作而减轻二）审计工作实施《企业内部审计指引》第十条规定：注册会计师应当按照自上而下的方法实施审计工作自上而下的方法是注册会计师识别风险，选择拟测试控制的基本思路注册会计师在实施审计工作时，可以将企业层面控制和业务层面控制的测试结合进行自上而下”的方法始于财务报表层次，以注册会计师对财务报告内部控制整体风险的了解开始，然后注册会计师将关注重点放在企业层面的控制上，并将工作逐渐下移至重大账户、列报及相关的认定1、识别企业层面控制通过了解企业与财务报告相关的整体风险，注册会计师可以识别出为保持有效的财务报告内部控制而必需的企业层面内部控制。
注册会计师测试企业层面控制，应当把握重要性原则，至少应当关注以下几方面1）与内部环境相关的控制内部环境，即控制环境，包括治理职能和管理职能，以及治理层和管理层对内部控制及其重要性的态度、认识和措施在评价控制环境的设计时，注册会计师应当考虑构成控制环境的下列要素，以及这些要素如何被纳入企业业务流程：①对诚信和道德价值观念的沟通与落实；②对胜任能力的重视；③治理层的参与程度：④管理层的理念和经营风格；⑤组织结构；6职权与责任的分配；①人力资源政策与落实2）针对董事会、经理层凌驾于控制之上的风险而设计的控制注册会计师可以根据对企业舞弊风险的评估做出判断，选择相关的企业层面控制进行测试，并评价这些控制能否有效应对管理层凌驾于控制之上的风险注册会计师应当特别关注由于管理层凌驾于账户记录控制之上，或规避控制行为而产生的重大错报风险，并考虑企业如何纠正不正确的交易处理3）企业的风险评估过程包括识别与财务报告相关的经营风险和其他经营管理风险，以及针对这些风险采取的措施注册会计师在对企业整体层面的风险评估过程进行了解和评估时，考虑的主要因素可能包括：企业是否已建立并沟通其整体目标，并辅以具体策略和业务流程层面的计划；是否已建立风险评估过程，包括识别风险，估计风险的重大性，评估风险发生的可能性以及确定需要采取的应对措施；是否已建立某种机制，识别和应对可能对企业产生重大且普遍影响的变化；会计部门是否建立了某种流程，以识别会计准则的重大变化；业务操作发生变化并影响交易记录的流程时，是否存在沟通渠道以通知会计部门；风险管理部门是否建立了某种流程，以识别经营环境，包括监管环境发生的重大变化。
4）对内部信息传递和财务报告流程的控制注册会计师应当从下列方面了解与财务报告相关的信息系统：对财务报表具有重大影响的各类交易；在信息技术和人工系统中，交易生成、记录、处理和报告的程序；与交易生成、记录、处理和报告有关的会计记录、支持性信息和财务报表中的特定项目；信息系统如何获取除各类交易之外的对财务报表具有重大影响的事项和情况；企业编制财务报告的过程，包括做出的重大会计估计和披露财务报告流程的控制可以确保管理层按照适当的会计准则编制合理、可靠的财务报告并对外报告5）对控制有效性的内部监督和自我评价企业对控制有效性的内部监督和自我评价可以在企业层面上实施，也可以在业务流程层面上实施，包括对运行报告的复核和核对、与外部人士的沟通、对其他未参与控制执行人员的监控活动，以及将信息系统记录数据与实物资产进行核对等2、识别业务层面控制注册会计师测试业务层面控制，应当把握重要性原则，结合企业实际内部控制各项应用指引的要求和企业层面控制的测试情况，重点对生产经营活动中的重要业务与事项的控制进行测试注册会计师应首先确定企业的重要业务流程和影响重大账户的重要交易类别，了解重要交易从发生到记入账目的整个流程，与重大账户及其相关认定相结合，在重要交易整个流程中确定错报可能会在什么环节发生，即确定相应的控制目标；然后根据确定的审计测试策略、计划对内部控制进行进一步了解和评估，对重要交易流程中设计的防止或发现并纠正可能错报的相关控制加以识别；再通过执行穿行测试，来证实对重要交易流程和相关控制的了解，并确定相关控制是否得到执行；最后对相关控制的设计和是否得到执行进行评价，以确定进一步的审计程序。
十一、 内部监督的内容（一）内部监督及其职能企业内部监督一般应由内部审计承担内部审计作为企业内部控制的一部分，能够协调管理层更有效地履行其责任，提高企业的运作效率并增强其活动的附加值内部审计是由被审计单位内部的机构或人员，对其内部控制的有效性、财务信息的真实完整性以及经营活动的效率和效果等开展的一种评价活动，是与独立审计、政府审计并列的三种审计类型之一它的目的是发现并预防错误和舞弊，提高企业的运作效率，为企业增加价值它采取系统化、规范化的方法对企业的内部控制、风险管理进行检查和评价，并提供建议等咨询服务，来提高他们的效率，从而帮助实现企业的目标企业内部审计的职能如下1）监督职能监督职能是内部审计的基本职能2）控制职能内部审计机构是集团的一个重要职能部门，它独立于其他各部门和其他控制系统，是对其他控制的一种再控制，与其他控制形式相比，更具有独立性、权威性和全面性内部审计又是内部控制的特殊构成要素，是对内部控制实施的再控制3）评价职能通过内部审计可以熟悉子公司的生产经营情况和财务状况，并且由于内部审计部门独立于子公司，更能客观、公正地评价子公司的管理情况和运行业绩4）服务职能内部审计可以通过事前、事中和事后控制为管理当局的决策、计划、控制提供依据，这些都充分体现了内部审计的服务职能。
企业制定内部审计规范，明确审计的范围、责任和计划，以此为基础合理配置审计人员，并要求他们遵守企业职业道德规范及内部审计规范；内部审计部门应具有适当的地位并有足够的资源履行其职责；内部审计部门根据授权可以参加有关经营及财务管理的决策会议，对管理中存在的薄弱环节、违反国家法律法规的行为、内部控制管理漏洞，向管理层及时提出调整意见二）内部监督的程序我国《企业内部控制基本规范》第四十五条规定：企业应当制定内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向董事会、监事会或者经理层报告因此，企业应强化内部监督，保证内部控制持续有效1、制定内部控制缺陷标准（1）内部控制缺陷的相关概念内部控制缺陷，是指内部控制的设计存在漏洞，不能有效防范错误与舞弊，或者内部控制的运行存在弱点和偏差，不能及时发现并纠正错误与舞弊的情形内部控制的缺陷包括设计缺陷和运行缺陷设计缺陷是指缺少为实现控制目标所必需的控制，或现存控制设计不适当，即使正常运行也难以实现控制目标，包括内部控制不健全、内部控制制度不适当例如，“未建立定期的现金盘点程序”即属于控制设计问题。
运行缺陷是指现存设计完好的控制没有按设计意图运行，或执行者没有获得必要授权或缺乏胜任能力以有效地实施控制比较常见的例子就是企业内部控制制度设计健全，但工作人员我行我素，并不按照制度执行例如，“物资采购申请金额已超过其采购权限，却未向上级公司申请安排大宗物品采购”，这是存在权限管理规定，却未在实际操作中按照执行2）内部控制缺陷的分类企业根据内部控制缺陷影响整体控制目标实现的严重程度，将内部控制缺陷分为重大缺陷、重要缺陷和一般缺陷①重大缺陷是指一个或多个一般缺陷的组合，可能严重影响内部整体控制的有效性，进而导致企业无法及时防范或发现严重偏离整体控制目标的情形主要考虑如下因素：影响整体控制目标实现的多个一般缺陷的组合是否构成重大缺陷；针对同一细化控制目标所采取的不同控制活动之间的相互作用；针对同一细化控制目标是否存在其他补偿性控制活动例如，有关控制漏洞为企业带来重大的损失或造成企业财务报表重大的错报、漏报又如，凭证连续编号可以保证所有业务活动都得到记录和反映，如果凭证没有连续编号的话，为了避免遗漏重大的业务事项，采用严格的凭证之间、账证之间、账账之间的核对就是保证业务记录完整性的补偿性控制②重要缺陷是指一个或多个一般缺陷的组合，其严重程度低于重大缺陷，但导致企业无法及时防范或发现偏离整体控制目标的严重程度依然重大，需引起企业管理层关注。
例如，有关缺陷造成的负面影响在部分区域流传，为公司声誉带来损害③一般缺陷是指以上两种缺陷之外的缺陷三）内部监督的方法内部监督的方法有两种，包括日常监督和专项监督内部控制体系日常监督的有效性程度越高，对专项监督的需要程度就越低管理层为了合理确认内部控制体系的有效性所必须进行的个别评估的频率取决于管理层的判断通常情况下，日常监督和专项监督的合并使用在某种程度上将会保证内部控制体系随着时间的变化而保持有效性1、日常监督日常监督是指企业对建立和实施内部控制的整体情况所进行的连续的、全面的、系统的、动态的监督日常监督是在及时的基础上执行的，能对环境的改变做出动态的反应，它存在于单位的日常管理活动之中，能及时地发现问题日常监督的范围和频率越大，其有效性就越高，则企业所需的日常监督就越少日常监督活动的重要环节主要包括以下几方面1）获得内部控制执行的证据获得内部控制执行的证据是指企业员工在实施日常生产经营生活时，取得必要的、相关的证据证明内部控制系统发挥功能的程度2）外部反映对内部信息的印证程度即与外界各方的沟通能够印证内部生成的信息或揭示问题3）定期核对财务系统数据与实物资产也就是说，将信息系统所记录的数据与实物资产相比较，做到账实相符。
4）内外部审计定期提供建议审计人员评估内部控制的设计以及测试其有效性，识别潜在的缺陷，并向管理层建议采取替代方案，为决策提供有用的信息5）管理层对内部控制执行的监督管理层可以通过以下渠道进行监督：审计委员会接收、保留及处理各种投诉及举报，并保证其保密性；管理层通过培训、会议了解内部控制的执行情况；管理层认真审核员工提出的各项合理建议，并不断完善建议机制6）定期考核员工内部监督部门和人力资源管理部门根据公司管理层的授权定期要求企业员工明确说明他们是否理解并遵守员工行为准则，是否遵守员工职业道德规范，并汇报控制活动的开展情况等7）内部审计活动的有效性适当的组织结构以及监督活动可促进内部控制职能的执行，识别内部控制的缺陷2、专项监督专项监督又称个别评估，是指企业对内部控制建立与实施的某一方面或者某些方面的情况进行的不定期、有针对性的监督检查专项监督的范围和频率应根据风险评估结果以及日常监督的有效性等予以确定一般来说，风险水平较高并且重要的控制，对其进行专项监督的频率应较高通常，专项监督采用自我评估形式，即负责某一单位或职责的人，员对受其控制的活动的有效性进行评价专项监督主要关注以下两个方面1）高风险且重要的项目。
审计部门依据持续监督的结果，对风险较高且重要的项目要进行个别评估考虑到成本效益原则，对风险很高但不重要的项目或很重要但是风险很小的项目可以减少个别评估的次数应该将高风险且重要的项目作为专项监督对象2）内部环境变化当内控环境发生变化时，要进行专项监督，以确定内部控制是否还能适应新的内控环境日常监督和专项监督应当有机结合前者是后者的基础，后者是前者的有效补充日常监督的程度越高，其有效性也越高，则企业所需的专项监督次数就越少如果发现专项监督需要经常性地进行，企业就有必要将其纳入日常监督中，进行日常持续的监控通常情况下，两种监督有效组合能确保企业内部控制在一定时期内保持有效性十二、 内部监督比较内部控制制度的有效实施，依赖于有效的内部监督系统内部监督作为内部控制的基本要素之一，对于内部控制的有效运行，以及内部控制的不断完善起着重要的作用内部监督是对企业内部控制整体运行情况的跟踪、监测和调节内部监督是在尽可能不影响企业正常经营管理活动的情况下，对内部控制实施情况进行评价，及时纠正企业发生的错误和舞弊，将内部控制制度的缺陷和改进意见反馈给管理者，对发现的内部控制缺陷及时予以弥补COSO的《企业内部控制整体框架》和《企业风险管理框架》中都规定监督为其构成要素。
COSO报告与我国《企业内部控制基本规范》在内部监督的定义、内容与组织机构方面进行了比较我国《企业内部控制基本规范》指出内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进，内部监督的主要内容包括日常监督和专项监督、缺陷报告、档案记录与验证，内部监督的主要进行机构为内部审计机构（或经授权的其他监督机构）十三、 内部控制评价工作底稿与报告（一）内部控制评价工作底稿根据《企业内部控制评价指引》第十一条的要求，内部控制评价工作应当形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等评价工作底稿应当设计合理、证据充分、简便易行、便于操作二）内部控制评价报告根据《企业内部控制基本规范》《企业内部控制评价指引》的相关规定，企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告1、内部控制评价报告的内容根据《企业内部控制评价指引》第二十二条的规定，内部控制评价报告至少应当披露下列内容：（1）董事会对内部控制报告真实性的声明；（2）内部控制评价工作的总体情况；（3）内部控制评价的依据；（4）内部控制评价的范围：（5）内部控制评价的程序和方法；（6）内部控制缺陷及其认定情况；（7）内部控制的整改情况及对重大缺陷拟采取的整改措施；（8）内部控制有效性的结论。
2、报告时间及要求内部控制评价报告应当报经董事会或类似权力机构批准后与审计报告一起对外披露企业应当以12月31日作为年度内部控制评价报告的基准日，内部控制评价报告应当在基准日后4个月内报出企业内部控制评价部门应当关注自内部控制评价报告基准日至内部控制评价报告发出日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整十四、 内部控制缺陷的认定1、内部控制缺陷的分类对于内部控制缺陷的分类，在第一节“内部监督”中已做相关阐述，这里不再赘述需要强调的是，企业对内部控制缺陷的认定，应当以日常监督和专项监督为基础，结合年度内部控制评价，由内部控制评价部门或机构进行综合分析后提出认定意见，按照规定的权限和程序进行审核后予以最终认定对于按严重程度分类的内部控制，内部控制评价部门或机构和管理层应当合理确定相关目标发生偏差的可容忍水平，从而对严重偏离的情形予以确定2、内部控制认定程序与整改如果评价工作人员在实施测试中发现控制差异，应分析差异是否属于控制缺陷并评价其严重程度如果审查了解控制差异的起因和结果后，断定控制目标未能达到同时，评价工作组人员不能通过增加其他测试程序证明已发现的差异不能代表所有内控的情况，将形成缺陷的结论。
管理层应评价其严重程度并在其年度自我评价报告中披露，同时，有责任对有关控制缺陷进行整改，做出补救措施由于控制缺陷可以分为设计缺陷和执行缺陷，因此，整改方案应根据缺陷的不同类别制定不同的整改方法对于需整改的内控设计缺陷，企业需在已有的内控管理制度体系中。